TikTok被曝App內(nèi)瀏覽器“監(jiān)控輸入和點(diǎn)擊的任何內(nèi)容”，公司發(fā)言人否認(rèn)Javascript代碼用于惡意行為

IT之家8月21日消息，據(jù)安全研究員Felix Krause稱，TikTok在iOS上的自定義App內(nèi)瀏覽器將JavaScript代碼注入外部網(wǎng)站，允許TikTok在用戶與給定網(wǎng)站交互時(shí)監(jiān)控“所有鍵盤輸入和點(diǎn)擊”，但據(jù)報(bào)道TikTok公司否認(rèn)了該代碼被用于惡意行為。

Krause表示，當(dāng)用戶與外部網(wǎng)站交互時(shí)，TikTok App內(nèi)瀏覽器會(huì)“訂閱”所有鍵盤輸入，包括密碼和信用卡信息等任何敏感細(xì)節(jié)，以及屏幕上的每次點(diǎn)擊。

“從技術(shù)角度來看，這相當(dāng)于在第三方網(wǎng)站上安裝鍵盤記錄器，”Krause在談到TikTok注入的JavaScript代碼時(shí)寫道。然而，研究人員補(bǔ)充說，“僅僅是應(yīng)用將JavaScript注入外部網(wǎng)站，但并不意味著該應(yīng)用正在做任何惡意的事情?！?/p>

在與福布斯分享的一份聲明中，TikTok發(fā)言人承認(rèn)了有問題的JavaScript代碼，但表示它僅用于調(diào)試、故障排除和性能監(jiān)控，以確保“最佳用戶體驗(yàn)”。

“與其他平臺(tái)一樣，我們使用App內(nèi)瀏覽器來提供最佳用戶體驗(yàn)，但所討論的Javascript代碼僅用于調(diào)試、故障排除和性能監(jiān)控——例如檢查頁(yè)面加載速度或是否崩潰?！?/p>

Krause表示，希望保護(hù)自己免受App內(nèi)瀏覽器JavaScript代碼的任何潛在惡意使用的用戶應(yīng)盡可能切換使用平臺(tái)默認(rèn)瀏覽器訪問查看給定鏈接，例如iPhone和iPad上的Safari瀏覽器。

據(jù)Krause稱，F(xiàn)acebook和Instagram是另外存在問題的兩個(gè)應(yīng)用程序，它們將JavaScript代碼插入到加載在App內(nèi)瀏覽器中的外部網(wǎng)站中，從而使應(yīng)用程序能夠跟蹤用戶活動(dòng)。Facebook和Instagram母公司Meta發(fā)言人在推文中表示，該公司“有意開發(fā)此代碼是為了尊重人們?cè)谖覀兤脚_(tái)上的應(yīng)用跟蹤透明度(ATT)選擇”。《Meta Instagram被曝通過App內(nèi)瀏覽器跟蹤用戶網(wǎng)絡(luò)活動(dòng)，已違反蘋果iOS隱私政策》

Krause說他創(chuàng)建了簡(jiǎn)單的工具，允許任何人在呈現(xiàn)網(wǎng)站時(shí)檢查App內(nèi)瀏覽器是否正在注入JavaScript代碼。研究人員表示，用戶只需打開他們想要分析的應(yīng)用程序，在應(yīng)用程序內(nèi)的某處分享地址InAppBrowser.com（例如直接向另一個(gè)人發(fā)送消息），點(diǎn)擊應(yīng)用程序內(nèi)的鏈接即可在-app瀏覽器，并閱讀顯示的報(bào)告的詳細(xì)信息。

蘋果沒有立即回應(yīng)置評(píng)請(qǐng)求。

TikTok發(fā)言人進(jìn)一步聲明表示，

“該報(bào)告關(guān)于TikTok的結(jié)論是不正確且具有誤導(dǎo)性的。研究人員明確表示，JavaScript代碼并不意味著我們的應(yīng)用程序在做任何惡意行為，并承認(rèn)他們無法知道我們的應(yīng)用程序內(nèi)瀏覽器收集了什么樣的數(shù)據(jù)。我們不會(huì)通過此代碼收集擊鍵或文本輸入，該代碼僅用于調(diào)試、故障排除和性能監(jiān)控?！?/p>

據(jù)TikTok發(fā)言人稱，JavaScript代碼是TikTok正在利用的軟件開發(fā)工具包(SDK)的一部分，而Krause提到的“keypress”和“keydown”功能是TikTok不用于按鍵記錄的常見輸入。